OAuth2中默认使用 Bearer Tokens (一般用UUID值)作为token的数据格式，但也支持升级使用JSON Web Token(JWT)来作为token的数据格式。
下面以 spring-oauth-server 升级使用JWT来说明
重点在于提供一个 JwtTokenStore的配置类，详细可参见 MyOIDC 工程中的配置：https://gitee.com/mkk/MyOIDC/blob/master/myoidc-server/src/main/java/myoidc/server/config/OAuth2ServerConfiguration.java
需要注意的是底层使用的算法，可以是RSA也可以对称加密的HMAC等，具体可查看 JwtAccessTokenConverter.java 类。
对应的工程中需要增加 spring-security-jwt 库的依赖（如果是Maven工程）。
JWKS全称为 JSON Web Key Set，是指多个JWK组合在一起的一种格式(详见 https://tools.ietf.org/html/draft-ietf-jose-json-web-key-41#section-5 )；
JWK全称是JSON Web Key，其标准协议链接：https://tools.ietf.org/html/draft-ietf-jose-json-web-key-41
JWK在OIDC中的主要作用是为JWT(id_token)提供加密密钥，用于加密/解密或签名/验签，是JSON格式的数据。
综上所说，掌握了如何生成JWK，再按照JWKS协议的要求组合起来即可。根据使用不同的加密算法，各种算法的JWK展示内容会有些区别，一个使用RSA算法的JWK格式的数据如下，使用jose4j生成：
{
"kty": "RSA",
"kid": "myoidc-keyid",
"use": "sig",
"alg": "RS256",
"n": "xMNL1jDatbHWGDH_H9GZbb2R4Ck2ga-lfE6wJnno_MfqJibSqkiLTZ7P06woJFxzB0WDu2PBe-ptRNoJhEnkzL8c1mgbGOdPVCsaaDm-POGZ3gnWGcyzyuJ9s9km41Rlan3TuuC3HIniY4bmyQAZ-SLwrFk7Bfa91ui4F9S5RvM",
"e": "AQAB",
"d": "q73XDM65p8vgll_VUn2NUPcdQ65VUB7y76xzHjJchX8tRj2utUj6pjaPKi_jHdG_6UHouIBa2oEE_QrfMaOZ2wA6LgYPXT_a296LKoOtKKRUlgob_leHxn0FJxLOXtEHgMqDgtMQ1-eFipsFgriip94dmcLEWW3YVK_y5JwJrnE",
"p": "7OqN19bEbMb9cr9zA98QQq9LOgvQfq5-nOvzwMsubqMosHxViRnivFz2-3LpusK7u2XEG5EljqUxZrf4lgeVmw",
"q": "1Jy9ksoLuQ5tuc4docgLaXQWqf3iaTm3iC07AA4v9jHzvnkewWFS_PUPPcra4475Dew-y7oIENaRBMijrrWViQ",
"dp": "HBEdhLh4xLo-RF3R7l96uauyqcnEhX1-mnCJjAmGEq1ZoK7aI0fhyJbq25cdgXaYbvb7aJilbmS7mYOp-3wiiQ",
"dq": "NRMLn-EgHAomCgQSEZjGgISiQ71FD8-AqVXhLJpeDq9ZkWra6ptJBCyIqXxCOBwwv_EBnAnMiaeGfBM6CRr7QQ",
"qi": "VCdAeu4h25X_kM69Netc3SKPo5P-1VjeSHz0Ko0QuSMF0INc6H2yi7hZgZuYANVaTF1Ipf6lWfHBLpuRGh3lXw"
}
JWK数据的格式具体可参见 https://tools.ietf.org/html/draft-ietf-jose-json-web-key-41#section-4
主要属性：kty(Key类型)，use(两个可选值：sig or enc)，alg(具体的算法)，kid(Key的唯一标识id)
有了JWK数据，只需要按照JWKS的格式组装成对应的JSON数据即可，以上面的JWK组装的JWKS数据如下：
{
"keys": [
{
"p": "7OqN19bEbMb9cr9zA98QQq9LOgvQfq5-nOvzwMsubqMosHxViRnivFz2-3LpusK7u2XEG5EljqUxZrf4lgeVmw",
"kty": "RSA",
"q": "1Jy9ksoLuQ5tuc4docgLaXQWqf3iaTm3iC07AA4v9jHzvnkewWFS_PUPPcra4475Dew-y7oIENaRBMijrrWViQ",
"d": "q73XDM65p8vgll_VUn2NUPcdQ65VUB7y76xzHjJchX8tRj2utUj6pjaPKi_jHdG_6UHouIBa2oEE_QrfMaOZ2wA6LgYPXT_a296LKoOtKKRUlgob_leHxn0FJxLOXtEHgMqDgtMQ1-eFipsFgriip94dmcLEWW3YVK_y5JwJrnE",
"e": "AQAB",
"use": "sig",
"kid": "myoidc-keyid",
"qi": "VCdAeu4h25X_kM69Netc3SKPo5P-1VjeSHz0Ko0QuSMF0INc6H2yi7hZgZuYANVaTF1Ipf6lWfHBLpuRGh3lXw",
"dp": "HBEdhLh4xLo-RF3R7l96uauyqcnEhX1-mnCJjAmGEq1ZoK7aI0fhyJbq25cdgXaYbvb7aJilbmS7mYOp-3wiiQ",
"alg": "RS256",
"dq": "NRMLn-EgHAomCgQSEZjGgISiQ71FD8-AqVXhLJpeDq9ZkWra6ptJBCyIqXxCOBwwv_EBnAnMiaeGfBM6CRr7QQ",
"n": "xMNL1jDatbHWGDH_H9GZbb2R4Ck2ga-lfE6wJnno_MfqJibSqkiLTZ7P06woJFxzB0WDu2PBe-ptRNoJhEnkzL8c1mgbGOdPVCsaaDm-POGZ3gnWGcyzyuJ9s9km41Rlan3TuuC3HIniY4bmyQAZ-SLwrFk7Bfa91ui4F9S5RvM"
}
]
}
以上的JWK,JWKS的示例的完整代码(JAVA实现)可在此查看 https://gitee.com/mkk/MyOIDC/blob/master/myoidc-server/src/test/java/myoidc/server/infrastructure/JWKSTest.java。代码中还包括除RSA外，ECC，OCT的示例实现。
JWK本身未定义一种新的加密算法或变种，只是定义一种JSON格式的数据展示(更符合互联网传输)，其底层实现依旧依赖PKI体系的技术，如x509，公钥/私钥体系。在其协议介绍中能更好地体现出来。
如果是使用非JAVA语言，也可以使用对应的PKI技术生成JWK，如openssl；
一个使用JDK自带的 keytool 工具生成的示例如下：
keytool -genkeypair -alias oidc-demo -validity 180 -keyalg RSA -keypass oidc-demo -keystore oidc-demo.jks -storepass oidc-demo
命令输入后依次填写DN的各类信息，即可生成 oidc-demo.jks文件，密码为 oidc-demo，文件中有私钥公钥等信息。
若需要导出为 x509格式数据，使用keytool命令：
keytool -exportcert -keystore oidc-demo.jks -rfc -file oidc-demo.cer -alias oidc-demo
输入密码后生成的 oidc-demo.cer文件为x509格式。
以下对OIDC主要的术语进行说明，并与OAuth2作相关对比。
access_token后,可调用此接口获取EU的详细信息.id_token中获取,主要包括认证信息与授权信息，可根据实际扩展OIDC协议中抽象了一个主要的操作步骤与流程示意图，如下：
下面以AWS提供的OIDC服务来举例说明。 假设你现在有一个应用A想集成使用AWS的OIDC服务，在实现OIDC之前需要先做几件事
OIDC流程在此示例中的关系图如下：
结束。
详细完整的使用请访问 MyOIDC: https://gitee.com/mkk/MyOIDC。
Let’s Encrypt免费SSL证书有效期3个月(本博客使用的SSL证书就是使用acme.sh实现的免费SSL证书)。
由于DNS解析使用了 dnspod，在签发时按正常流程会报以下异常
参考文章 https://bugxia.com/33.html 中提到的注意点，需要先从dnspod获取API Token的 id与key。然后按以下步骤操作
export DP_Id=“xxx”
export DP_Key=“xxx”
./acme.sh –issue -d andaily.com -d *.andaily.com –dns dns_dp
结果可以成功，且此方法还省去了手动添加 TXT记录在DNS上的步骤。
成功的输出如下图所求：
结束。
spring-oauth-server在2020-06-04更新发布了2.0.2版本，spring-oauth-server是Spring与Oauth2整合示例。
此版本更新内容如下：
1.Fix CVE-2019-3778, use spring-security-oauth 2.3.5.RELEASE
2.解决数据库多条 access_token问题，增加唯一约束
3.升级Spring-Boot版本为2.1.4.RELEASE
2.0.2版本release链接： https://gitee.com/shengzhao/spring-oauth-server/releases
MyOIDC –基于OIDC协议的参考实现,根据各类库提供实现参考 。正式版本v1.1.1发布，主要更新内容：
过去几年的OAuth2经历与使用，总结一下，记录有关 access_token, refresh_token的各类配置与场景适应，到此以自问自答的形式把这些琐碎的点总结下来。
说明：以下问答中的截图或表等信息以 spring-oauth-server 中配置为参考。
> 问：可以设置永不过期的 refresh_token吗？
答：可以，需要按以下步骤操作：首先在client_details定义中不设置 refresh_token_validity 字段值（即默认null），其次在配置OAuth2的DefaultTokenServices时将refreshTokenValiditySeconds属性值配置为0或小于0（默认为30天，若想修改为其他默认值也在此配置），关键代码看下图
> 问：可以设置永不过期的 access_token吗？
答：可以，但不推荐使用（因为永不过期意味着除手动清除外无安全性可言）；若需要按以下步骤操作：首先在client_details定义中不设置 access_token_validity字段值（即默认null），其次在配置OAuth2的DefaultTokenServices时将accessTokenValiditySeconds属性值配置为0或小于0（默认为12小时，若想修改为其他默认值也在此配置），关键代码看下图
> 问：refresh_token功能可以禁用吗？
答：可以，首先要求client_details的grant_type不支持 refresh_token，即authorized_grant_types字段中无 refresh_token，其次在配置OAuth2的DefaultTokenServices时将supportRefreshToken配置为false即可，关键代码看下图
> 问：默认的 access_token有效时间是多少？默认的 refresh_token有效时间是多少？在哪看
答：默认access_token有效时间为12小时，默认refresh_token有效时间为30天，这两默认值在OAuth2的DefaultTokenServices中定义的，如下图：
若想改变默认值，只需要在定义client_details是修改字段access_token_validity （access_token有效时间）与 refresh_token_validity （refresh_token有效时间）,单位为：秒
> 问：可否在每次调用 refresh token操作时重新生成一个 refresh_token值？若可以如何做
答：可以支持此功能，具体为在配置OAuth2的DefaultTokenServices时将reuseRefreshToken属性配置为fasle即可（默认true），关键代码看下图
> 问：能否在生成access_token后加自己扩展的代码逻辑？若能如何做
答：可以加自己的扩展逻辑。首先需要写一个类实现接口 TokenEnhancer.java ，实现方法 enhance方法，一示例如下：
其次在配置 OAuth2的DefaultTokenServices时增加tokenEnhancer属性配置，关联扩展实现的类即可，关键代码如下
实际上Spring Security OAuth2中实现JWT从而支持OIDC流程就是扩展TokenEnhancer.java来实现的（有一个实现类 JwtAccessTokenConverter.java）
> 问：生成access_token值是一UUID值吧？能否不使用UUID值，想扩展如何办？
答：确实生成的access_token是一UUID值，若要扩展不使用UUID，需要这样做：首先写一个子类继承DefaultTokenServices.java，其次将DefaultTokenServices.java的源代码复制到扩展的子类中，并修改createAccessToken方法与createRefreshToken方法中的代码（如此做是因为两方法定义的private的），关键代码如下
另一种办法是通过扩展TokenEnhancer.java 来实现（详细见上一问答）
> 问：如何提高 access_token， refresh_token的性能，默认存储在数据库中在高并发大数据时数据库连接会成为性能瓶颈的
答：在大数据高并发环境时，建议使用Redis，将access_token, refresh_token存储在Redis中实现，具体在配置OAuth2的TokenStore时使用子类 RedisTokenStore（默认使用的子类为JdbcTokenStore），更多信息请查看 http://andaily.com/blog/?p=19776
MyOIDC –基于OIDC协议的参考实现,根据各类库提供实现参考 。第1个正式版本v1.1.0发布，主要更新内容：
V1.1.0 代码库链接：
GitHub: https://github.com/monkeyk/MyOIDC/tree/v1.1.0
Gitee： https://gitee.com/mkk/MyOIDC/tree/v1.1.0/
SpringMVC对于提交表单(form submit)的数据校验与异常信息回显，个人常用有两种方式
方式一：使用Validator接口，实现Validator接口并编写校验的代码，
Validator是一个单独类处理，示例源码链接：https://gitee.com/shengzhao/spring-oauth-server/tree/1.0/src/main/java/com/monkeyk/sos/web/controller
在使用时示例如下：
此方式简单明了，validator与controller分开。
方式二：使用全注解，需要扩展实现一些业务需要的数据校验(此文重点)
不需要额外增加一个类来处理，注解加在Model对象属性中，
UserFormDto是一个Model对象，@Size, @NotBlank,@Length, @Email为 java validation API中定义的注解类型，
@UsernameValidation 是扩展自定义实现的数据校验(主要增加业务逻辑，如此处username要求唯一)，其具体实现为：
其实现的关键是 UsernameValidator.java的实现，如下：
UsernameValidator实现ConstraintValidatior接口并提供实现，在isValid()方法中实现具体业务逻辑，返回true表示校验成功
示例源码链接：https://gitee.com/mkk/MyOIDC/tree/1.1.0/myoidc-server/src/main/java/myoidc/server/service/validation
——————————–
对于表单校验异常后的展示，SpringMVC提供了一套页面标签实现，如果是JSP页面，示例如下：
如果是 SpringBoot中的 thymeleaf，示例如下：
(页面展示的标签方式有多种形式，可根据实际需要进行选择，如可以针对单个的字段进行异常显示)